新加坡個資保護法責任指南
新加坡個人資料保護法(Personal Data Protection Act 2012, PDPA)的基本原則之一在於可歸責性(Accountability)之建立，原因在於個資保護的責任歸屬，是組織對個資的持有與控制所為的承諾與責任表示。因此，PDPA第11、12條之法遵責任，組織必須對所持有或控制的個資負責，並且需制定並實施資料保護政策、溝通並告知員工相關政策、及履行PDPA義務所必須施行之流程與作法。於組織責任而言，PDPA雖有強制性義務責任，但應忖量組織內部責任歸屬的措施，而非僅將責任落於遵守法律的程度，組織必須從合於法規的方法轉為基於責任歸屬的方法來管理個人資料。
從而，該指南在政策、人員、流程等領域中透過資料生命週期的循環，確立組織責任歸屬。從落實良好的責任制始於組織領導力的概念出發，設定組織管理高層之職責與調性，繼而規劃處理個資及管理資料風險的方法。並由組織人員治理面向，確立溝通資訊與員工培訓知識與資源。除此之外，也在特定流程設置上，紀錄個人資料流動，了解如何收集、儲存、使用、揭露、歸檔或處理個人資料為流程的首要任務，繼而確認資料保護層面主要的差距與需要改進的領域。再將資料保護實踐於業務流程、系統、商品或服務。
本文為「經濟部產業技術司科技專案成果」
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
江敔菲
副法律研究員 編譯整理
2011年3月，英國文化、奧運、媒體與體育大臣（Secretary of State for Culture, Olympics, Media and Sport）Jeremy Hunt原已同意跨國媒體集團News Corporation併購英國天空廣播公司British Sky Broadcasting Group（BSkyB）並進行後續之審議流程。但在同年7月爆出News Corporation旗下的英國世界新聞報竊聽醜聞後，News Corporation立即取消該項併購申請。 在此一事件影響下，Jeremy Hunt要求英國電信主管機關Ofcom（Office of communications）對於跨媒體多元性管制架構進行檢討。現行媒體多元性管制主要在於同媒體之間合併必須通過公眾利益測試（public interest test），並有國家跨媒體所有權限制。Ofcom徵求意見如下： 1.跨平台媒體多元性如何測量，推荐最好方法為何？ 2.在新聞市場中可否設定一絕對的市場佔有率限制？ 3.在沒有合併案件的情形下，是否有其他事件可引發媒體多元性的持續追蹤、誰以及如何進行追蹤？ 4.媒體多元性測量是否包含網站？ 5.測量是否包含BBC？ Ofcom將於2011年11月18日截止收件，並於2012年初提出修改之方向。
歐盟執委會公布「數位金融包裹」法案為鼓勵金融產業之創新，同時使其遵循應有之責任，並讓歐盟金融消費者與商業機構享有更多之利益，歐盟執委會於2020年10月24日提出數位金融包裹法案（Digital Finance Package），並提出以下2項數位金融立法提案： 一、加密資產立法提案（Proposal for Markets in Crypto-assets） 為促進金融創新並同時保有金融穩定性與保護投資人，歐盟執委會提出加密資產管制框架立法提案，並將加密資產分為已受監管與未受監管兩類，前者將持續依據既有規範進行管理。而針對尚未管制之加密資產，該提案針對加密資產發行人與加密資產服務供應商建立嚴格限制，要求取得核准後始可提供服務。具體而言之，立法提案包含以下項目： （一）針對加密資產、加密資產發行人等金融商品名詞進行定義。並建立加密資產服務供應商與發行人營運上、組織架構與資產發行程序之透明度與揭露制度。 （二）針對向公開市場提供加密資產進行管制，例如，依據提案第4條，供應商應為法人，第5條則要求供應商應製作加密資產白皮書，並將其提供給主管機關後始可於公開市場提供相關服務。 （三）針對代幣資產發行人以及其加密資產之審核程序，依據提案第15條，代幣發行者必須為歐盟境內之法律實體。另外，該法要求加密資產發行人應誠實、公平且專業，並完成加密資產白皮書之出版與制定市場溝通規則。 （四）針對加密資產之收購，該法第4章亦設有相關規範，於第37條及38條規定收購之評估機制。 （五）針對加密資產服務供應商之授權與營運條件，該法第5章規定歐盟證券及市場管理局應建立加密資產服務供應商之登記制度。 （六）針對市場秩序維護之部分，該法於第6章規範相關預防市場濫用之禁止事項與要求，並於第7章賦予歐盟成員國各主管機關相關權力，例如第94條之監督與懲處權限。 二、歐盟數位營運韌性管制框架立法提案（Proposal for Digital Operational Resilience） 數位化總伴隨資安風險，歐盟執委會於包裹法案內亦提出歐盟數位營運韌性管制框架立法提案，以確保相關企業可應對所有與通訊技術有關之干擾與威脅，另外，銀行、證券交易所、票據交換所以及金融科技公司將需遵循嚴格之標準以預防並降低ICT資安事件所產生之衝擊，另外亦將針對金融機構雲端運算服務供應商進行監管。具體規範包含： （一）ICT風險管理要求：該立法提案參照相關國際標準，於第5至第14條制訂相關ICT風險管理要求，惟未要求應遵循具體國際標準。 （二）ICT相關事件報告：該提案於第15至20條規範相關報告義務，將整合歐盟金融機構之ICT相關事件報告與監測程序。 （三）數位運作韌性測試：該提案於第21至第24條要求ICT風險管理框架應定期進行測試，惟具體方法可依據組織之規模、風險側寫與商務模式進行調整。 （四）第三方單位風險：該提案於第25至39條規範組織應對ICT第三方供應商風險進行監測，例如，第25條要求金融機構委外執行業務仍應隨時遵循所有金融服務規範，另外，ICT風險管理框架之內容亦應包含第三方ICT風險之監督策略。
對AI下達複雜、反復修改指令不算創作行為? —美國著作權局發布AI著作權報告第2部分：可受著作權保護性.Pindent{text-indent: 2em;} .Noindent{margin-left: 22px;} .NoPindent{text-indent: 2em; margin-left: 38px;} .No2indent{margin-left: 54px;} .No2Pindent{text-indent: 2em; margin-left: 54px} .No3indent{margin-left: 4em;} .No3Pindent{text-indent: 2em; margin-left: 4em} 對AI下達複雜、反復修改指令不算創作行為? —美國著作權局發布AI著作權報告第2部分：可受著作權保護性 資訊工業策進會科技法律研究所 2025年02月10日 由於生成式AI是根據使用者輸入的提示或稱指令（prompts），依機率分布推算生成出最有可能出現的結果，因此有人戲稱AI在每次生成時都是在隨機進行「擲骰子」，即便相同的提示也可能會得到有差異的輸出結果。為應對AI回應的不確定性和多樣性，如何下達提示，有效使用AI，為必須學習的課題。因此，有人說訓練不了人工智慧？我們可以訓練自己，但用心思考精準有效指令，費心對AI生成結果進行反復修改，就能取得著作權保護嗎?美國著作權局提出的看法，或許與大家的期待不同。 壹、事件摘要 美國著作權局今（2025）年1月發布AI著作權報告的「第2部分：可受著作權保護性（Part 2: Copyrightability）」[1]。為幫助評估AI著作領域的立法或監管措施是否必要，該局於2023年8月即發布「著作權與人工智慧議題徵詢通知（Copyright Office Issues Notice of Inquiry on Copyright and Artificial Intelligence）」，對外尋求對包括涉及使用受著作權保護的作品來訓練AI模型的問題、適當的透明度與揭露程度受著作權保護的作品的使用以及AI生成內容的法律定位等問題的意見[2]。在分析AI引發的著作權法與政策問題的意見徵詢結果後，美國著作權局於2024年7月31日，以數位複製物（digital replicas）主題，發布「著作權與人工智慧分析人工智慧引發的著作權法和政策議題」（Copyright and Artificial Intelligence analyzes copyright law and policy issues raised by artificial intelligence）報告的第1部分[3]，並隨後於今（2025）年1月發布報告的「第2部分：可受著作權保護性（Part 2: Copyrightability）」[4]。 此報告指出現有的法律原則可根據個案判斷是否具有足夠的人為貢獻，有足夠的彈性足以解決關於AI生成內容是否具有著作權的問題，並不需要修法；當人工智慧被用作工具，且人類能夠決定作品的表達元素時，對AI生成結果的創意選擇、協調或安排，以及對生成結果的創意修改，都可獲得著作權保護；但目前使用者即使給予AI詳細的提示，也無法控制AI如何生成內容，不足以使其成為「作者」；著作保護仍須以人為創意投入，既有法令已足以激勵AI發展，沒有理由為AI生成的內容提供額外的著作權或特殊權利保護。 貳、重點說明 一、AI系統的輸出存在不可控制性[5] 當前生成式AI系統的輸出可能包括未指定的內容，在有數十億個參數的模型構建的複雜AI系統下，特定提示或其他輸入對於AI生成內容的影響存在不確定性，即使是專家研究人員在理解或預測特定模型行為的能力方面也受到限制。不僅AI生成的內容會因請求而異，而且即使具有相同的提示也是難以預測的，即使有AI系統例如Midjourney允許使用者控制生成一致的結果，在重複相同的提示時收到幾乎相同的圖像，然而即使如此也無法保證完美的一致性。 二、有辛勤努力、指示建議不等於有創造性貢獻 （一）無法僅因時間和努力而獲得著作權保護，它需要原創性 （originality），無論原創性有多麼低微 美國的著作權保護限於人類的創作（human authorship） 沒有任何法院承認非人類創造（non-human creation）的著作權。當然在使用AI的大多數情況下，人類將參與創作過程（creation process），並且在他們的貢獻符合創作資格的範圍時，能使其作品具有著作權。美國上訴法院（Supreme Court）明確表示，需要的是原創性 （originality），而不僅僅是時間和努力。在「Feist Publications, Inc. v. Rural Telephone Service Co.」案中，法院否定僅憑「血汗」（sweat of the brow）就足以獲得著作權保護的主張，但法院也認為絕大多數作品都很容易達到標準，因為所需的創造力水平極低；即使是很小的量、無論多麼粗糙、卑微或顯而易見都無妨（no matter how crude, humble or obvious’ it might be.）[6]。 （二）使用機器作為工具並不會否定著作權保護，如果作品已包含足夠的人類創作表達元素（human-authored expressive elements） 對於AI工具的使用是否影響著作權保護，美國著作權局提及在「Burrow-Giles Lithographic Co. v. Sarony」案中，法院將「作者」定義為「任何事物起源的人、創始人、製造者、完成科學或文學作品的人。（he to whom anything owes its origin; originator; maker; one who completes a work of science or literature.）」。法院確定了即使是使用照相機，攝影師也有許多創造性貢獻，包括將主題置於相機前，選擇和安排服裝、窗簾與其他各種配件、安排主題以呈現優雅的輪廓，以及喚起其所需的表情[7]。因此能否受保護的重點不在於有無使用工具，而是創造性投入的有無。 （三）「作者」必須是實際創作作品，即將想法轉化為有形呈現的表達的人，不包括只是提供詳細的建議和指示或做無實質改變轉換的人 美國著作權局在報告中指出，上訴法院在「Community for Creative Non-Violence v. Reid, "CCNV"」案中，認為：繪製設計草圖和以有形的表達媒介實現創意，使藝術家成為作者。該案的哥倫比亞特區巡迴法院明確表示，委託雕塑並提供詳細的建議與指示是不夠的，因為此類貢獻構成不受保護的想法，其不能因此成為雕塑的共同作者。而第三巡迴上訴法院在「Andrien v. Southern Ocean County Chamber of Commerce」案中， 認為原告「明確指示了副本的準備工作的具體細節」，因此「編譯只需要簡單的轉錄即可實現最終的有形形式」。因為印刷商「沒有實質改變原告的原始表達（original expression）」，法院裁定原告是「作者」[8]。 因此，該局認為儘管人工智慧生成內容不能被視為使用者與人工智慧系統的共同作品（joint work），但對於是否貢獻足夠的表達以被視為作者，提供有用的類比—僅僅向作者（AI）描述委託作品應該做什麼或看起來像什麼的人，並不是著作權法意義上的共同作者。 三、AI的創作輔助使用 美國著作權局同意，使用人工智慧作為輔助創作作品的工具與使用人工智慧作為人類創造力的替代品之間存在重要區別。雖然增強人類表達的輔助使用不會限制著作權保護，但認為需要進一步分析下列三種使用方式的差異： （1）指示人工智慧系統產生輸出的提示（prompts）； （2）可以在人工智慧生成內容中感知到的表達性輸入（expressive inputs） （3）對人工智慧生成內容進行修改或安排（modifications or arrangements）。 （一）指示人工智慧系統產生輸出的提示（prompts） 由於欠缺對生成結果的控制能力，使用者即使輸入複雜的提示指令亦無法讓其成為「作者」[9]。提示本質上是傳達不受保護的思想，雖然高度詳細的提示可以包含使用者所需的表達元素，但目前的AI技術無法僅靠提示即能給予使用者足夠的人工控制，所以AI 系統的使用者無法成為生成內容的「作者」。雖然在輸入提示可以被視為類似於向受委託創作的藝術家提供指導，但在人與人之間的合作，委託者能夠監督、指導與理解受委託的人類藝術家的貢獻，但這情況目前不存在於人與AI的合作。或許將來可允許使用者對AI的生成內容取得完全的控制權，讓AI的貢獻變成固定或機械化（rote or mechanical）。 由於提示與結果輸出之間的差距，以及相同的提示可以生成多個不同生成內容的事實，進一步表明使用者缺乏對將他們想法轉換為固定表達的控制。而反覆修改提示不會改變、也無法為取得著作權提供足夠的依據，因為著作權保護的是作者身份，而不是辛勤工作。而且美國著作權局認為輸入修改後的提示與輸入單個提示在作用上似乎沒有實質性區別，對過程的控制程度都沒有改變。 不過，有些評論意見舉自然攝影作品做類比，認為即使攝影家無法控制野生動物何時進入畫面，這些作品也可能有資格獲得著作權保護。但美國著作權局認為，這與AI生成不同—攝影家的創作過程並沒有結束於他對作品的想法，其在照相機中控制角度、位置、速度和曝光的選擇，且可能進行作品的後製調修。該局指出「從（AI系統）提供的選項（生成結果）中進行選擇」不能被視為受著作權保護的作者身份， 因為「單一輸出的選擇本身並不是一種創造性的行為」。但該局也表示有時提示可以充分控制AI生成內容中的表達元素，如果AI技術進一步為使用者提供表達元素的更多控制，則結論可能會不同。 （二）富有表現力的輸入（Expressive Inputs）[10]與純粹指令不同 目前AI 系統接受以文本、圖像、音訊、視頻或這些內容形式的輸入，而可以將輸入保留成生成內容的一部分，例如修改或翻譯受著作權保護的作品。這類型的輸入，雖然亦可視為不同形式的提示，但與僅僅是傳達預期結果的提示不同。它所給的不僅是一個概念，更重要的是它限制了AI生成內容的「自主性」。因此可能提供了「更具說服力的人工干預」，而不是簡單的「將提示應用於未知的起點」。美國著作權局認為一個人輸入自己受著作權保護的作品，如果該作品在生成的內容中是可察覺的（perceptible），那麼他至少是該部分生成內容的「作者」。此類 AI 生成輸出的著作權將涵蓋可察覺的人類表達，包括可能涵蓋到作者對作品素材（material）的選擇、協調和安排。 （三）修改或安排（Arranging）AI生成的內容仍可受保護[11] 美國著作權局於報告中指出，使用 AI 生成內容通常是一個初始或中間步驟，如同其AI 註冊指引的說明—「人類可以以足夠創造性的方式選擇或安排 AI 生成的內容，以使最終作品整體構成一個作者的原創作品（the resulting work as a whole constitutes an original work of authorship）」。人類可以藉由修改AI生成的內容，使其達到符合著作權保護標準的程度，如果人類作者以創造性的方式選擇、協調和安排 AI 生成的內容，應該能夠主張著作權。例如：Midjourney 提供「Vary Region and Remix Prompting」，允許使用者使用提示來指定生成圖像的區域。美國著作權局認為此類可以讓使用者控制各個創意元素的選擇與放置的修改，是否達到最低原創性標準雖將取決於具體個案情況。但其認為就生成的內容位置可控制的案例，與純粹提示（prompts alone）情況不同，生成的內容應該受著作權保護。 參、事件評析 在美國著作權局公布其該報告之後，有網路媒體[12]以「美國著作權局定調：光靠提示詞的純AI生成圖片無法享有著作權保護，無論你下多複雜的提示詞都沒有」的標題，詮釋該報告的主旨。確實美國著作權局於該報告中，特別指出下達複雜與反復的提示，並不會影響著作權保護的取得與否的判斷。但關鍵點不在於提示本身，而是對AI生成結果的「可控制」（或可說是AI對生成結果的自主）程度。 對於AI生成結果的著作權保護，經濟部智慧財產局曾以電子郵件1070420號函指出：「著作必須係以自然人或法人為權利義務主體的情形下，其所為的創作始有可能受到著作權的保護。據了解，AI（人工智慧）是指由人類製造出來的機器所表現出來的智慧成果，由於AI並非自然人或法人，其創作完成之智慧成果，非屬著作權法保護的著作，原則上無法享有著作權。但若其實驗成果係由自然人或法人具有創作的參與，機器人分析僅是『單純機械式的被操作』，則該成果之表達的著作權由該自然人或法人享有。」，但何謂「單純機械式的被操作」?以複雜與反復的提示再擇取AI符合所需的AI修改結果，是否屬之?在目前AI工具朝向「自動化」發展的趨勢下，使用者下達提示後，多只須被動的對單一的生成結果，決定是否接受或重新下達指令，使用者只是以指令提出需求，實際的「創作行為」主體其實是AI而非人類。因此，美國著作權局於此報告中更進一步的說明使用者即使有複雜與反復的提示且有意的選擇特定結果，並不能就認定為「對結果有控制權」的創作。必須其結果可為使用者主導、控制，而非被動決定是否接受。 相對而言，在創作的保護實務上，美國著作權局告訴我們的是，人類仍然可以藉由在使用過程提高對AI生成結果的控制程度，以及生成內容的後製，使結果符合著作權保護標準。AI使用者應該盡量使用有提供具體修改控制功能的AI工具，只要有人為的事後修改，或使用過程中能具體主導AI生成的結果，我們仍然可以透過複雜與反復的提示AI，取得受著作權保護的生成結果。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1]U.S. Copyright Office Copyright and Artificial Intelligence, Part 2: Copyrightability, https://www.copyright.gov/ai/Copyright-and-Artificial-Intelligence-Part-2-Copyrightability-Report.pdf [2]US Copyright Office, Copyright Office Issues Notice of Inquiry on Copyright and Artificial Intelligence, https://www.copyright.gov/newsnet/2023/1017.html (last visited Feb. 10, 2025). [3]US Copyright Office, Copyright Office Releases Part 1 of Artificial Intelligence Report, Recommends Federal Digital Replica Law, https://www.copyright.gov/newsnet/2024/1048.html (last visited Feb. 10, 2025). [4]U.S. Copyright Office Copyright and Artificial Intelligence, supra note 1. [5]詳前註1，頁5~7。 [6]詳註1，頁8。 [7]詳註1，頁9。 [8]詳註1，頁9。 [9]詳註1，頁18~21。 [10]詳註1，頁22~24。 [11]詳註1，頁24~27。 [12]電腦王，美國著作權局定調：光靠提示詞的純AI生成圖片無法享有著作權保護，無論你下多複雜的提示詞都沒有，https://www.techbang.com/posts/121184-the-us-copyright-office-has-set-the-tone-that-purely（最後瀏覽日：2025/02/10）。
法國CNIL發布針對應用程式的隱私保護建議在民眾越來越依賴行動裝置的應用程式進行日常活動的年代，諸如通訊、導航、購物、娛樂、健康監測等，往往要求訪問更廣泛的資料和權限，使得應用程式相較於網頁，在資料安全與隱私風險上影響較高。對此，法國國家資訊自由委員會（Commission Nationale de l'Informatique et des Libertés, CNIL）於2024年9月發布針對應用程式隱私保護建議的最終版本，目的為協助專業人士設計符合隱私友好（privacy-friendly）的應用程式。該建議的對象包含行動裝置應用程式發行者（Mobile application publishers）、應用程式開發者（Mobile application developers）、SDK供應商（Software development kit, SDK）、作業系統供應商（Operating system providers）和應用程式商店供應商（Application store providers），亦即所有行動裝置生態系中的利害關係者。以下列出建議中的幾項重要內容： 1. 劃分利害關係者於手機生態系中的角色與責任 該建議明確地將利害關係者間作出責任劃分，並提供如何管理利害關係者間合作的實用建議。 2. 改善資料使用許可權的資訊提供 該建議指出，應確保使用者瞭解應用程式所請求的許可權是運行所必需的，並且對資料使用許可的資訊，應以清晰及易於獲取的方式於適當的時機提供。 3. 確保使用者並非受強迫同意 該建議指出，使用者得拒絕並撤回同意，且拒絕或撤回同意應像給予同意一樣簡單。並再度強調應用程式僅能在取得使用者知情同意後，才能處理非必要資料，例如作為廣告目的利用。 此建議公布後，CNIL將持續透過線上研討會提供業者支援，協助其理解和落實這些建議。同時，CNIL表示預計於2025年春季起，將對市面上應用程式實行特別調查，透過行政執法確保業者遵守相關隱私規範，尤其未來在處理後續任何投訴或展開調查時，會將此建議納入考慮，且會在必要時採取糾正措施，以有效保護應用程式使用者的隱私。 .Pindent{text-indent: 2em;} .Noindent{margin-left: 2em;} .NoPindent{text-indent: 2em; margin-left: 2em;} .No2indent{margin-left: 3em;} .No2Pindent{text-indent: 2em; margin-left: 3em} .No3indent{margin-left: 4em;} .No3Pindent{text-indent: 2em; margin-left: 4em} .Psrc{text-align: center;}